'n Vaardigheidslêer. 'n Reëllêer. 'n MCP-bedienerkonfigurasie. Drie reëls gewone teks, commitsoos dokumentasie getoets, soos dokumentasie hersien, en geeneen van hulle lyk soos kode nie. En tog kan elkeen stilweg herskryf wat jou KI-assistent opdrag kry om te doen en wat dit toegelaat word om te bereik. Dis die ongemaklike waarheid agter KI-sekuriteit. in 2026Die bedryf het twee jaar lank bekommerd geraak oor wat KI-gegenereerde kode bevat. Die moeiliker probleem het die KI-voorsieningsketting self geblyk te wees: die modelle, agente, MCP-bedieners en konfigurasielêers wat nou langs jou bronkode en oopbron-afhanklikhede sit, grootliks ongeïnventariseer en ongehersien. Dit is presies hoekom KI-voorsieningskettingsekuriteit sy eie dissipline geword het, en hoekom die keuse van die regte KI-sekuriteitsmaatskappy net so belangrik is as die keuse van die regte skandeerder.
Die aanvalsoppervlak waarvoor niemand begroot het nie
Sagteware het voorheen 'n handjievol plekke gehad waar 'n aanvaller kon land: die kode, die afhanklikhede, die pipelineKI het nog twee bygevoeg, en albei voed direk in die KI-voorsieningsketting.
Die model en die agent. Gereedskapvergiftiging, vinnige inspuiting, agent-outonomie wat verder gaan as wat enigiemand bedoel het. 'n Versteekte instruksie in 'n MCP-bedienerbeskrywing kan stilweg herlei wat 'n mede-piloot doen, en die ontwikkelaar sien dit nooit gebeur nie.
Die ontwikkelaar se eie omgewing. IDE's, KI-kopilote, MCP-bedieners, agent-CLI's. Onsigbaar vir ouer AppSec-skandeerders, wat nie weet wat 'n model is nie, en onsigbaar vir EDR, wat die bedryfstelsel dophou en geen idee het wat 'n afhanklikheid of 'n MCP-oproep is nie.
Niks hiervan is teoreties nie. In die afgelope agtien maande:
- ’n Versteekte Unicode-“reëllêer-agterdeur” laat aanvallers toe om onsigbare instruksies in die konfigurasielêers wat Copilot en Cursor lees, in te spuit, wat die kode wat die assistent gegenereer het, stilweg agterdeur. GitHub het in 2025 ’n waarskuwing daarvoor bygevoeg.
- 'n Opdrag-inspuitingsfout in 'n gewilde MCP-brug (CVSS 9.6) het meer as 400 000 aflaaie gehad voordat dit reggestel is, die eerste gedokumenteerde geval van volledige afstandkode-uitvoering wat veroorsaak is deur bloot aan 'n onbetroubare MCP-bediener te koppel.
- 'n Selfvoortplantende npm-wurm het ontwikkelaars hulself in die afleweringsmeganisme verander, en die patroon het in die daaropvolgende maande op skaal oor ander ekosisteme herhaal, 'n handboek-KI-voorsieningsketting-sekuriteitsmislukking.
- Navorsers het bevind dat 'n beduidende deel van die pakkette wat LLM's aanbeveel, glad nie bestaan nie, "slopsquatted" name wat 'n aanvaller registreer voordat 'n werklike ontwikkelaar die model ooit vra om hulle in te voer.
Google se eie navorsing oor die beveiliging van die KI-sagteware-voorsieningsketting kom tot 'n soortgelyke gevolgtrekking vanuit 'n ander hoek: modelle wat in 2023 en 2024 in omloop gevind is, het wettig gelyk terwyl hulle kode bevat het wat data kon ontsluit of 'n agterdeur kon plant sodra dit afgelaai is, en die oplossing was nie soseer 'n nuwe kategorie instrument nie, maar eerder die toepassing van voorsieningskettingdissipline, soos herkoms en ondertekening, op artefakte wat niemand voorheen dopgehou het nie. Dis die KI-voorsieningskettingsekuriteitsprobleem in een sin: die artefakte is nuut, maar die dissipline wat hulle nodig het, is nie.
Waarom jou bestaande gereedskap te kort skiet
SAST lees kode. SCA lees 'n manifes van afhanklikhede. Nie een van die twee weet wat 'n model is, wat 'n MCP-bediener blootstel, of wat 'n vaardigheidslêer 'n agent opdrag gee om te doen nie. Daardie gaping is presies waar KI-era-aanvalle land, in die ruimte tussen "kode wat ons skandeer" en "KI wat ons stilweg aangeneem het".
Die resultaat is 'n kategorie van skadu-KI nee CISO kan tans antwoorde gee vir: watter modelle gebruik ons, watter agente kan wat bereik, en watter MCP-bediener het iemand verlede Dinsdag gekoppel sonder om enigiemand te vertel. Om daardie vraag goed te beantwoord, is die taak van KI-voorsieningskettingsekuriteit, en dit is die rede waarom generiese AppSec-gereedskap hier tekort skiet.
Wat KI-sekuriteit eintlik beteken
Xygeni is die KI-sekuriteitsmaatskappy wat dit as drie gekoppelde bewegings oor die hele SDLC: ontdek, opspoor en afdwing.
Ontdek: weet watter KI jy eintlik het
Deurlopende, outomatiese ontdekking oor jou bewaarplekke heen bring elke KI-bate na vore: modelle, raamwerke, datastelle, afleidingseindpunte, agente, MCP-bedieners, vaardighede, aanwysings, guardrails, en die KI-koderingsinstrumente wat jou ontwikkelaars eintlik gebruik. Geen opnames nie. Geen selfrapportering nie. As dit 'n spoor in 'n bewaarplek gelaat het, verskyn dit in die inventaris, die eerste en mees basiese vereiste van werklike KI-voorsieningskettingsekuriteit.
Die KI-grafiek karteer dan hoe daardie bates verbind: watter model 'n datastel voed, watter agent watter hulpmiddel aanroep, watter MCP-bediener agter watter assistent sit. 'n Bate in isolasie sê vir jou min. Die grafiek wys jou waar die risiko konsentreer.
Uit dieselfde ontdekking genereer Xygeni 'n KI-BOM'n oudit-gereed, masjienleesbare inventaris van alles KI-verwant in jou sagteware. Wanneer 'n reguleerder, 'n ouditeur of 'n kliënt vra watter KI jy gebruik, word die antwoord 'n aflaai in plaas van 'n drie weke lange gesukkel.
Opspoor: die risiko's wat konvensionele skandeerders nie kan sien nie
'n Toegewyde KI-skandeerder soek na die foutmodusse wat spesifiek is vir KI-stelsels: vinnige inspuiting, gereedskapinspuiting en onbetroubare gereedskapaanroeping, data-lekkasie deur herwinning, stelselprompt-omseiling, oormatige agentskap. Elke bevinding word gekoppel aan die OWASP Top 10 vir LLM-toepassings en wys na die presiese lêer en lyn wat die blootstelling skep, nie 'n vae "hersien jou KI-gebruik"-waarskuwing nie.
Dieselfde opsporingslaag behandel vaardigheidslêers, reëllêers en MCP-konfigurasies as die sekuriteitsartefakte wat hulle is, nie as onskadelike dokumentasie nie. Dit merk kwaadwillige of vergiftigde vaardighede, inspekteer MCP-bedienerkonfigurasies vir gereedskapvergiftiging, en wys die aanwysings wat eintlik jou KI-werkladings dryf.
Prioritiseer: die tregter wat geraas sny, nie hoeke nie
Elke bevinding word progressief gefiltreer: tot wat bereikbaar is in die toepassingskode, dan tot wat werklik benutbaar is, dan tot wat in die kode is wat jou span aktief ontwikkel. Wat 'n ontwikkelaar se tou bereik, is die kortlys wat produksie eintlik bedreig, met die raamwerkverwysing, die blootstellingsvenster en versagtingsriglyne aangeheg.
Afdwing: stop dit voordat dit loop
Shield bring beleidsafdwinging na die ontwikkelaar se eie eindpunt: dit blokkeer ongemagtigde en kwaadwillige installasies, nie-goedgekeurde modelle en nie-goedgekeurde MCP-bedieners voordat enigiets uitgevoer word. Daaronder sit Xygeni se Vroeë Waarskuwing oor Wanware (MEW), wat kwaadwillige pakkette vang voordat 'n handtekening bestaan, vertrou die laag reputasie-gebaseerde gereedskap steeds omdat niemand die pakket nog aangemeld het nie. Dis die afdwingingshelfte van KI-voorsieningskettingsekuriteit: ontdekking en opsporing vertel jou wat fout is, Shield is wat dit eintlik stop.
Jou KI-blootstelling is nie net in jou KI-kode nie
'n Volledige KI-voorsieningsketting-sekuriteitsprentjie benodig meer as 'n modelvoorraad, en dit is selde net die flitsende goed:
- KI-verskaffer se geloofsbriewe gelaat in promptlêers, agentkonfigurasies, of pipeline Logs is geheime soos enige ander, en Xygeni se geheimopsporing vang hulle op voordat hulle 'n openbare register bereik.
- Kwetsbare KI- en ML-afhanklikhede dra gewone CVE's, wat na vore kom deur dieselfde sagteware-samestelling-analise wat reeds die res van jou stapel dek. Derdeparty-navorsing oor KI-aanvaarding het gewys op hoeveel van die moderne KI-stapel uit ekstern verkrygde pakkette en verborge komponente bestaan, wat presies die oppervlak is waarvoor sagteware-samestelling-analise gebou is.
- Kwaadwillige pakkette vinniger gepubliseer as enige advies pipeline kan hulle katalogiseer as hulle vooraf onderteken word, dieselfde MEW-vermoë wat die res van jou voorsieningsketting beskerm.
Die agentlaag: DevAI en CoreAI
Ontdekking en opsporing dek wat reeds in jou bewaarplekke is. DevAI werk waar die risiko geskep word: binne die IDE, as 'n deurlopende, proaktiewe laag wat menslike en KI-gegenereerde kode skandeer soos dit geskryf word, geen aanwysings nodig nie. Dit verduidelik die volledige ontplooiingspad agter 'n bevinding en stel MCP-gevalideerde oplossings voor wat 'n ontwikkelaar met vertroue kan toepas, sonder om die bou te breek.
KernKI sit bo die individuele skandeerders as die intelligensielaag: dit korreleer kode, afhanklikheid, pipeline, en plaas data in een risikomodel, beantwoord vrae in natuurlike taal, en lewer die uitvoerende gereedgemaakte verslagdoening wat 'n sekuriteitsleier nodig het om te wys dat bestuur werklik plaasvind, nie net beweer word nie.
Brei uit wat jy in KI-sekuriteit het. Moenie enigiets uitruk nie.
Die mees algemene beswaar teen 'n nuwe sekuriteitskategorie is "ons het reeds genoeg gereedskap." As 'n KI-sekuriteitsmaatskappy vra Xygeni jou nie om enigiets te vervang nie: dieselfde triage, verduideliking en prioritisering wat op sy eie bevindinge toegepas word, geld ewe veel vir bevindinge van jou bestaande. SAST, SCA, en derdeparty-skandeerders. Jou huidige stapel word 'n inset, nie 'n slagoffer nie, en jou KI-voorsieningsketting se sekuriteitsposisie verbeter sonder 'n rip-and-replace-projek daaraan verbonde.
Hoekom dit nou saak maak, nie later nie
Reguleerders kom vanuit verskillende rigtings oor dieselfde verwagting saam: die EU se KI-wet, NIS2, en Spanje se ENS dryf almal aan voorraadopname en naspeurbaarheid vir KI-stelsels, dieselfde bewyse wat 'n KI-BOM gebou is om te lewer. Die rigting van beweging is duidelik, selfs waar die presiese voldoeningsmeganismes nog steeds vasgestel word: jy kan nie getuig van KI wat jy nog nooit geinventariseer het nie, en jy kan nie KI-voorsieningskettingsekuriteit eis as die voorsieningsketting self vir jou onsigbaar is nie.
Die keuse van 'n KI-sekuriteitsmaatskappy
Nie elke KI-sekuriteitsmaatskappy trek sy grense op dieselfde plek nie. Sommige stop by die skandering van jou eie KI-gegenereerde kode. Ander stop by die eindpunt. Die KI-voorsieningsketting-sekuriteitsvraag is groter as enige segment op sy eie: dit strek oor die model, die agent, die MCP-bediener, die vaardigheidslêer en die gewone afhanklikheid wat daaronder lê. Daardie volledige lewensiklus-aansig, van ontdekking tot afdwinging, in een konsole met die res van jou AppSec-bevindinge, is waarna jy moet soek wanneer jy 'n KI-sekuriteitsmaatskappy evalueer eerder as 'n enkele punt-instrument.
Die lêers wat niemand hersien nie, het die toegangspad geword. KI-sekuriteit is die dissipline om hulle te hersien, en KI-voorsieningskettingsekuriteit is wat daardie dissipline van begin tot einde laat standhou, op dieselfde platform waar jy reeds alles anders hersien.
Kyk wat jou KI eintlik mag doen. Begin gratis or beplan 'n demo.
FAQ
Verlaat Xygeni se kode ooit my infrastruktuur?
Nee. Skanderings loop binne jou eie omgewing, en bronkode word nooit na Xygeni se bedieners opgelaai nie. Die KI-inventaris en KI-BOM word gebou uit wat die skandeerder plaaslik sien, nie uit 'n kopie wat ekstern gestuur word nie.
Wat is die verskil tussen KI-sekuriteit, DevAI en CoreAI?
KI-sekuriteit ontdek en bespeur: dit bou die KI-inventaris, die KI-BOM, en vind risiko's soos onmiddellike inspuiting of vergiftigde vaardigheidslêers. DevKI werk binne die IDE terwyl ontwikkelaars kode skryf en stel oplossings voor soos hulle vorder. CoreKI sit bo albei, korreleer bevindinge oor die hele platform en beantwoord vrae oor jou sekuriteitsposisie in natuurlike taal.
Met watter KI-sekuriteitsraamwerke stem Xygeni ooreen?
Bevindinge stem ooreen met die OWASP Top 10 vir LLM-aansoeke, die OWASP Top 10 vir MCP, en die OWASP Top 10 vir Agentiese Vaardighede, tesame met NIST SP 800-218A en CISA/G7-riglyne oor KI-materiaallyste. Daardie kartering is wat die KI-BOM bruikbaar maak as voldoeningsbewyse eerder as net 'n inventaris.
Sal dit elke KI-biblioteek of -model as 'n risiko aandui?
Nee. Die prioritiseringstregter vernou bevindinge tot wat bereikbaar is in toepassingskode, werklik benutbaar is, en in aktiewe ontwikkeling is, so die lys wat 'n ontwikkelaar sien is kort, nie 'n stortingsopgawe van elke KI-bate wat opgespoor word nie.
